Win-acme

Win-ACME: ARI-Konflikt bei Domainwechsel

Problem

Beim Versuch, ein neues Zertifikat mit geänderter Domain zu erstellen, trat folgender Fehler auf:

[HTTP] Request completed with status BadRequest
Failed to create order: Could not validate ARI 'replaces' field :: identifiers in this order do not match any identifiers in the certificate being replaced

Ursache

Die ACME Renewal Information (ARI) verlangt, dass die Identifikatoren (z. B. Domainnamen) des neuen Zertifikats exakt mit denen des zu ersetzenden Zertifikats übereinstimmen. Ein Domainwechsel (z. B. Austausch oder Hinzufügen von Domains) führt zu einem **Mismatch**, wodurch der Erneuerungsversuch fehlschlägt.

Analyse

• ARI ist aktiv und versucht, das neue Zertifikat als Ersatz für ein bestehendes zu registrieren.
• Die Domainliste hat sich geändert → ARI verweigert die Erneuerung.
• Win-ACME erkennt den Konflikt und bricht mit `BadRequest` ab.

Lösung

1. Alte Renewal-Einträge entfernen

Über die Kommandozeile:

wacs.exe --cancel --friendlyname "AlterFriendlyName"

Oder manuell im Ordner:

C:\ProgramData\win-acme\acme-v02.api.letsencrypt.org\Renewals\

Dort die entsprechende `.json`-Datei löschen.

2. Neues Zertifikat sauber anlegen

• Neue Domainliste definieren
• Neuen Friendly Name vergeben
• Zertifikat ohne ARI-Bezug erstellen

3. Optional: Zertifikatsspeicher bereinigen

Falls das alte Zertifikat nicht mehr benötigt wird:

• `certlm.msc` öffnen
• Navigieren zu: Eigene Zertifikate → Zertifikate
• Altes Zertifikat manuell löschen

Hinweis

• ARI eignet sich nur für **identische** Zertifikate (gleiche Domains).
• Bei Domainwechsel immer neuen Auftrag starten.
• Friendly Names helfen bei der Verwaltung und Fehleranalyse.

Status

Nach Entfernen der alten Einträge und Neuanlage des Zertifikats funktioniert alles wie gewünscht.

Siehe auch

• Win-ACME Projektseite
• ACME/ARI Dokumentation bei Let's Encrypt